Red Hot Cyber, il blog italiano sulla sicurezza informatica
Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Select language
Inglese Spagnolo
Cerca
Crowdstriker 970×120
UtiliaCS 320x100

Tag: test di sicurezza

Penetration Testing di Microsoft Exchange Server: Tecniche, Strumenti e Contromisure

Alessandro Molinari 05/11/2025

Spesso, durante i penetration test, ci ritroviamo ad avere accessi elevati (Domain Admin) all’interno di un’organizzazione. Alcune aziende si fermano a questo, pensando che ottenere il Domain Admin sia l’obiettivo finale. Ma non lo è. «Ottenere il Domain Admin» non significa molto per la maggior parte dei dirigenti , se non mostrare concretamente cosa comporta in termini di rischio. Uno dei modi migliori per dimostrare il rischio per un’organizzazione è mostrare la possibilità di accedere a dati sensibili. Descriviamo qui il penetration testing di Exchange 2019 in un laboratorio GOADv3 configurato su Ludus/Debian. Strumenti Utilizzati Il toolkit principale usato è MailSniper, una

Gli Hacker bypassano i WAF più rigidi con una riga JavaScript! Morale? Scrivi sicuro sempre

Redazione RHC 09/09/2025

All’interno di un test di sicurezza, i ricercatori di Ethiack hanno trovato un modo per aggirare anche i firewall per applicazioni Web più severi utilizzando una tecnica insolita: l’iniezione di JavaScript tramite inquinamento dei parametri HTTP. L’oggetto del test era un’applicazione ASP.NET con le regole di filtraggio più rigide. Qualsiasi tentativo di iniettare costrutti XSS standard veniva bloccato, ma grazie alle peculiarità dell’elaborazione dei parametri duplicati, i ricercatori sono stati in grado di raccogliere un payload funzionante che il firewall non aveva nemmeno rilevato. La chiave per aggirare il problema era che il metodo ASP.NET HttpUtility.ParseQueryString() combina parametri identici utilizzando le virgole.

AI sotto attacco: DeepSeek-R1 si comporta male nei test di Qualys

Redazione RHC 07/02/2025

Milano, 6 febbraio 2025 – DeepSeek-R1, un innovativo modello linguistico di grandi dimensioni (LLM) recentemente rilasciato dalla startup cinese DeepSeek, ha catturato l’attenzione del settore dell’intelligenza artificiale. Il modello dimostra di avere prestazioni competitive, mostrandosi più efficiente dal punto di vista delle risorse. Il suo approccio all’addestramento e la sua accessibilità offrono un’alternativa al tradizionale sviluppo dell’AI su larga scala, rendendo più ampiamente disponibili le capacità avanzate. Per migliorare l’efficienza e preservare l’efficacia del modello, DeepSeek ha rilasciato diverse versioni distillate, adatte a diversi casi d’uso. Queste varianti, costruite su Llama e Qwen come modelli di base, sono disponibili in più dimensioni,

USB Army Knife: La Nuova Frontiera del Penetration Test Portatile

Redazione RHC 05/10/2024

All’inizio di ottobre 2024 ha avuto luogo il primo rilascio significativo del progetto USB Army Knife versione 1.0 , destinato a tester e specialisti di pentest. Il progetto, sviluppato in JavaScript e C++, è già disponibile su GitHub sotto licenza MIT, che ne consente l’utilizzo e la modifica liberamente. USB Army Knife è un software universale progettato per funzionare su dispositivi compatti come le schede ESP32-S3. Supporta un’ampia gamma di strumenti di test di sicurezza, inclusa l’emulazione di dispositivi USB e lo sfruttamento delle vulnerabilità del protocollo di rete. Le caratteristiche principali del progetto includono il supporto BadUSB, l’emulazione del dispositivo di archiviazione, l’emulazione

Categorie